Entrega do AsyncRAT em Campanhas de Ameaças com Temática de IA

SOC Prime Team

Seguir

Entrega do AsyncRAT em Campanhas de Ameaças com Temática de IA

Detection stack

AIDR
Alert
ETL
Query

Relatório de Ameaça
Fluxo de Ataque
Detecções
Simulações

Resumo

Atores de ameaça estão aproveitando iscas com tema de IA para distribuir uma cadeia de infecção de malware em múltiplas etapas. O ataque combina scripts em etapas, loaders baseados em AutoHotkey e hollowing de processo para implantar tanto um trojan de acesso remoto .NET quanto o AsyncRAT. Um aspecto notável da campanha é o aparente uso de desenvolvimento assistido por IA, refletido nos nomes de variáveis em Chinês Simplificado e comentários de código embutidos em todo o malware.

Investigação

Os laboratórios da FortiGuard examinaram uma sequência complexa de intrusão que começou com um arquivo ZIP malicioso contendo um arquivo LNK. Sua análise revelou várias etapas de extração de carga de um contêiner baseado em PDF, seguido por injeção reflexiva impulsionada por AutoHotkey e implantação final de um RAT modular .NET junto com o AsyncRAT. Os pesquisadores também documentaram métodos distintos de ofuscação, incluindo abstração semântica em idioma chinês e lógica de desencriptação personalizada projetada para ocultar o comportamento do malware.

Mitigação

Os usuários devem ser especialmente cautelosos com arquivos LNK, arquivos compactados e documentos recebidos de fontes não confiáveis ou inesperadas. As organizações devem revisar entradas de inicialização, tarefas agendadas e locais de registro em busca de alterações não autorizadas. Monitorar atividades suspeitas do PowerShell e conexões de rede de saída incomuns também é essencial para identificar os estágios iniciais do comprometimento.

Resposta

Se esta atividade for detectada, os respondedores devem realizar uma revisão forense dos %LOCALAPPDATA% and %APPDATA% diretórios para identificar scripts soltos e artefatos relacionados. O Agendador de Tarefas deve ser verificado em busca de tarefas suspeitas, como CheckRealtekAudioVersion or ResetRealtekAudioSettings64. Sistemas afetados devem ser isolados imediatamente para impedir mais comunicação com os domínios e endereços IP maliciosos identificados.

"gráfico TB %% Seção de Definições de Classe classDef action fill:#99ccff classDef tool fill:#cccccc classDef malware fill:#ff9999 classDef process fill:#ccffcc classDef technique fill:#ffff99 %% Definições de Nós %% Estágio Inicial action_user_exec["Ação – T1204.002 Execução pelo Usuário: Arquivo Malicioso Usuário abre um arquivo compactado contendo um atalho .lnk malicioso disfarçado como um guia de IA."] class action_user_exec action action_obfuscation["Ação – T1027 Arquivos ou Informações Ofuscadas O arquivo .lnk usa cmd.exe para executar uma sequência de comandos ofuscados para extrair dados de um arquivo PDF oculto chamado 3th.pdf."] class action_obfuscation technique %% Execução em Etapas action_ps_decryption["Ação – T1027.013 Arquivos ou Informações Ofuscadas: Arquivo Criptografado/Codificado Um script PowerShell realiza descriptografia AES-CBC e decodificação Base64 para revelar uma carga útil salva como Cache_{GUID}.ps1."] class action_ps_decryption technique %% Persistência e Evasão action_persistence["Ação – T1547 Persistência O script cria uma tarefa agendada chamada CheckRealtekAudioVersion para garantir a persistência."] class action_persistence technique action_exclusion["Ação – T1679 Exclusão Seletiva O malware usa Add-MpPreference para adicionar o drive C e powershell.exe à lista de exclusão do Microsoft Defender."] class action_exclusion technique %% Proxy e Scripts action_cmd_shell["Ação – T1059.003 Interprete de Comandos e Scripts: Shell de Comando do Windows Utiliza Shell de Comando do Windows para execução."] class action_cmd_shell technique action_syncappv["Ação – T1216.002 Execução de Proxy de Script do Sistema: SyncAppvPublishingServer Usa um arquivo VBS ResetRealtekAudioSettings64.vbs para atuar como mediador no lançamento de arquivos em lote."] class action_syncappv technique %% Estágio AutoHotkey tool_autohotkey["Ferramenta: AutoHotkey.exe Binário benigno utilizado para executar scripts maliciosos .ahk para lógica complexa."] class tool_autohotkey tool action_ahk_interpreter["Ação – T1059.010 Interprete de Comandos e Scripts: AutoHotKey & AutoIT Os scripts .ahk gerenciam a injeção de processos e a orquestração."] class action_ahk_interpreter technique %% Injeção e Carga Útil action_hollowing["Ação – T1055.012 Injeção de Processo: Hollowing de Processo Reconstrói uma carga útil PE a partir de dados de texto e a injeta em processos legítimos .NET."] class action_hollowing technique process_dotnet["Processo: Processo .NET Processo legítimo alvo, como AddInProcess32.exe para injeção."] class process_dotnet process malware_asyncrat["Malware: AsyncRAT Um Trojan modular de Acesso Remoto .NET implantado como carga útil final."] class malware_asyncrat malware action_exfiltration["Ação – T1048 Exfiltração por Protocolo Alternativo Exfiltra informações do sistema e realiza vigilância através de domínios C2 como shampobiskworld.nl."] class action_exfiltration technique %% Conexões %% Cadeia inicial action_user_exec –>|leva a| action_obfuscation action_obfuscation –>|aciona| action_ps_decryption %% Cadeia de Persistência e Evasão action_ps_decryption –>|estabelece| action_persistence action_ps_decryption –>|executa| action_exclusion %% Cadeia de Scripting e Proxy action_ps_decryption –>|aproveita| action_cmd_shell action_cmd_shell –>|usa| action_syncappv %% Cadeia AutoHotkey action_syncappv –>|executa| tool_autohotkey tool_autohotkey –>|usa| action_ahk_interpreter %% Cadeia de Injeção action_ahk_interpreter –>|executa| action_hollowing action_hollowing –>|injeta em| process_dotnet %% Cadeia de Carga Útil Final process_dotnet –>|hospeda| malware_asyncrat malware_asyncrat –>|executa| action_exfiltration "

Fluxo de Ataque

Narrativa do Ataque & Comandos: Um adversário ganhou acesso inicial e está se preparando para estabelecer um canal de Comando e Controle (C2) persistente usando AsyncRAT. Para evitar a detecção de assinatura baseada em rede, o atacante utiliza a classe RijndaelManaged .NET para criptografar o tráfego. O atacante executa uma linha de comando PowerShell que instancia o criptografador, pretendendo encapsular o C2 heartbeat em uma carga útil criptografada. Este comando é projetado para acionar a regra de detecção baseada em string específica.

Script de Teste de Regressão:

# Simulação de instanciação de criptografia estilo AsyncRAT no PowerShell
# Este comando é projetado para corresponder à string 'RijndaelManaged.CreateEncryptor' na linha de comando.
$code = "[System.Security.Cryptography.RijndaelManaged]::CreateEncryptor()"
powershell.exe -NoProfile -ExecutionPolicy Bypass -Command "$encryptor = [System.Security.Cryptography.RijndaelManaged]::CreateEncryptor(); Write-Output 'Encryption engine initialized.'"

Comandos de Limpeza:

# Nenhuma alteração persistente feita pelo script de simulação; no entanto,
# limpar o histórico do PowerShell para remover traços do comando.
Clear-History
Remove-Item (Get-PSReadlineOption).HistorySavePath -ErrorAction SilentlyContinue

Junte-se à plataforma Detection as Code da SOC Prime para melhorar a visibilidade das ameaças mais relevantes para o seu negócio. Para ajudá-lo a começar e gerar valor imediato, agende uma reunião agora com os especialistas da SOC Prime.

Cadastre-se Gratuitamente